XXE漏洞

XXE漏洞

1.介绍XXE漏洞

XML外部实体注入(XML External Entity) 简称XXE漏洞，XML用于标记电子文件使其具有结构性的标记语言，可以用来标记数据、定义数据类型，是一种允许用户对自己的标记语言进行定义的源语言。XML文档结构包括XML声名、DTD文档类型定义(可选)、文档元素。

其中，文档类型定义(DTD)可以是内部声明也可以引用外部DTD，如下所示。
·内部声明DTD格式：<!DOCTYPE 根元素[元素声明]>
·引用外部DTD格式：<!DOCTYPE 根元素 SYSTEM “文件名”>
在DTD中进行实体声明时，将使用ENTITY关键字来声明。实体是用于定义引用普通文本或特殊字符的快捷方式的变量。实体可在内部或外部进行声明。
·内部声明实体格式：<!ENTITY 实体名称 “实体的值”>
·引用外部实体格式：<!ENTITY 实体名称 SYSTEM “URL”>

2.XXE漏洞代码分析

服务端处理XML的代码如下，代码的实现过程如下所示。

<?php
$xmlfile = file_get_contents('php://input');
$dom = new DOMDOcument();
$dom -> loadXML($xmlfile);
$xml = simplexml_import_dom($dom);
$xxe = $xml->xxe;
$str = "$xxe \n";
echo $str;
?>

---

·使用file_get_contents获取客户端输入的内容。
·使用new DOMDOcument()初始化XML解析器。
·使用loadXML($xmlfile)加载客户端输入的XML内容。
·使用simplexml_import_dom($dom)获取XML文档节点，如果成功则返回SimpleXMLElement对象，如果失败则返回FALSE。
·获取SimlpeXMLElement对象中的节点XXE，然后返回XXE的内容。
可以看到，代码中没有限制XML引入外部实体，所以当我们创建一个包含外部的XML时，外部实体的内容就会被执行。

3.XXE漏洞修复建议

针对XXE漏洞的修复，以下两点建议:
(1)禁止使用外部实体，例如libxml_disable_entity_loader(true);
(2)过滤用户提交的XXE数据，防止出现非法内容